[공격] 분석 — CVE-2025-21887

• 심각도 high · CVSS 7.8 · EPSS 0.00185 · 악용난이도 hard

(1) 트리거 조건: OverlayFS 파일 시스템 환경에서 vfs_rename 등의 작업을 통해 ovl_copy_up_one → ovl_link_up 경로가 실행될 때 발생함. dput(upper) 함수가 ovl_dentry_update_reval()보다 먼저 호출되어, 이후 ovl_dentry_remote()에서 이미 해제된 메모리(upper->d_flags)에 접근하는 UAF 결함임.

(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 및 OverlayFS 사용 여부 확인 (예: Docker/Podman 컨테이너 환경).
• 초기접근: AV:L 및 PR:L 조건에 따라, 이미 시스템에 로그인한 일반 사용자 권한 또는 컨테이너 내부 쉘 확보가 전제됨.
• 실행·권한 획득: OverlayFS 상의 파일 이름 변경(rename) 등의 조작을 통해 UAF를 유도하고, 해제된 슬랩(Slab) 메모리 영역을 공격자 제어 데이터로 덮어써 커널 모드에서 임의 코드 실행 또는 권한 상승 시도.
• 지속 및 영향: 루트 권한 획득 후 커널 모듈 설치 등을 통해 영속성 확보.

(3) 공격 표면: Linux Kernel 내부 fs/overlayfs 모듈. 구체적으로는 OverlayFS가 마운트된 디렉토리 내에서의 파일 시스템 조작 API(rename, link 등).

(4) CVSS 벡터 연결: AV:L(Local)과 PR:L(Low Privilege)은 외부 네트워크 공격이 불가능하며, 로컬 계정 권한이 반드시 필요함을 의미함. AC:L은 트리거 조건만 맞으면 복잡한 설정 없이 실행 가능함을 뜻함.

악용 가능성: 본 취약점은 Linux kernel의 OverlayFS 모듈 내 ovl_dentry_update_reval 함수에서 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 상 AV:L 및 PR:L 조건에 따라, 공격자는 이미 시스템에 로그인한 상태에서 로컬 파일 시스템 접근 권한을 가진 계정으로 초기 접근을 확보해야 합니다. 공격 표면은 OverlayFS가 마운트된 디렉토리 내의 dentry 조작이며, 구체적으로는 ovl_link_up 과정에서 dput() 호출 순서 오류로 인해 해제된 메모리 영역(upper->d_flags)에 접근하는 시점이 트리거 조건이 됩니다. EPSS 수치가 0.00185로 매우 낮고 KEV에 등재되지 않은 점은, 커널 내부의 정교한 레이스 컨디션(Race Condition)이나 특정 메모리 레이아웃 조작이 필요하여 일반적인 자동화 공격으로는 실현 가능성이 낮음을 시사합니다. 그러나 성공적으로 악용될 경우 커널 공간에서의 임의 코드 실행이나 권한 상승으로 이어질 수 있어, 이론적 심각도와 별개로 로컬 권한 상승(LPE)을 노리는 타겟팅 공격의 핵심 고리가 될 수 있습니다. 따라서 본 취약점은 단순한 버그를 넘어, 다른 커널 메모리 누수 결함과 체이닝될 경우 방어자의 탐지망을 피해 루트 권한을 획득하는 결정적 경로로 작용할 가능성이 존재합니다.

(1) 기술적 위험: Memory-Corruption (UAF) 특성상 커널 패닉으로 인한 시스템 중단(DoS) 또는 커널 메모리 조작을 통한 권한 상승(LPE)이 가능함. 결과적으로 루트 권한 획득 및 전체 시스템 장악으로 이어짐.
(2) 비즈니스 영향: 컨테이너 환경에서 호스트 커널로의 탈출(Container Escape) 경로가 될 수 있어, 멀티 테넌시 환경의 격리 무결성이 파괴됨. 이는 데이터 유출 및 인프라 제어권 상실이라는 심각한 신뢰 위기로 연결됨.

• 추정: 정보 노출(KASLR 우회) $\rightarrow$ UAF (CVE-2025-21887) $\rightarrow$ 권한 상승(LPE) 체인으로 이어질 가능성이 높음.
• 커널 메모리 레이아웃을 알 수 없는 상태에서는 UAF를 통한 안정적인 익스플로잇이 어려우므로, Slab 메모리 구조나 커널 주소를 유출시키는 다른 Memory Leak 유형의 취약점과 체이닝될 것으로 추정됨.

(1) 로그 지표: KASAN(Kernel Address Sanitizer)이 활성화된 디버그 커널의 경우 slab-use-after-free in ovl_dentry_remote 메시지가 dmesg 또는 /var/log/kern.log에 기록됨.
(2) 탐지 규칙:

• 로직: 동일 프로세스가 단시간 내에 OverlayFS 마운트 지점에서 비정상적으로 많은 rename 및 파일 생성/삭제 작업을 반복하며 커널 크래시가 발생하는 패턴 감시.
• SIEM 예시: process_name == "unknown" AND event_id == "kernel_panic" AND message CONTAINS "ovl_dentry_update_reval"
  (3) 오탐 시나리오: 대규모 파일 동기화 툴이나 컨테이너 빌드 스크립트가 OverlayFS에서 빈번한 파일 조작을 수행할 때 발생 가능. 특정 사용자 계정의 비정상적 권한 상승 시도와 결합하여 분석해야 함.

• 즉시(긴급 차단): 불필요한 OverlayFS 마운트 해제 또는 일반 사용자의 OverlayFS 쓰기 권한 제한. (난이도: 하 / 영향: 서비스 기능 일부 제한)
• 단기(완화): sysctl 등을 통해 비특권 사용자의 유저 네임스페이스(unprivileged_userns_clone) 생성 제한을 검토하여 공격 표면 축소. (난이도: 중 / 영향: 컨테이너 런타임 동작 영향 가능)
• 근본(해결): 영향받는 커널 버전(5.10.x, 5.15.x, 6.1.x 등)에서 ovl_link_up 내 dput() 위치가 수정된 최신 보안 패치 버전으로 업데이트. (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 가용성 중단)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 0.00185(백분위 0.08392) 수치를 통해 이론적 심각도(CVSS 7.8) 대비 실제 야생에서의 악용 가능성은 현재 매우 낮음(hard)을 반영함. 이에 따라 즉시 대응보다는 이번 주 내 패치 적용하는 scheduled 우선순위로 결정됨.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00185 · exploit=hard · in_scope=None